Geldwäscheprävention: Compliance-Programm nach GwG einführen in 90 Tagen
Ein GwG-Compliance-Programm besteht aus Risikoanalyse, internen Sicherungsmassnahmen, Sorgfaltspflichten und Verdachtsmeldung. Dieser Beitrag zeigt, wie Sie das Programm in 90 Tagen einführen und nach § 6 GwG belegbar dokumentieren.
Das Geldwäschegesetz verpflichtet seit der Novelle 2020 über 1,2 Mio. Unternehmen in Deutschland zu einem dokumentierten Präventionsprogramm. § 4 GwG verlangt ein wirksames Risikomanagement, § 6 GwG schreibt interne Sicherungsmassnahmen vor, § 7 GwG fordert einen Geldwäschebeauftragten ab definierten Schwellen. Verstösse kosten bis zu 5 Mio. Euro oder 10 Prozent des Jahresumsatzes nach § 56 GwG, dazu kommt persönliche Haftung der Leitungsorgane.
Dieser Beitrag beschreibt einen 90-Tage-Plan zur Einführung eines GwG-Compliance-Programms: Verpflichtetenprüfung, Risikoanalyse, Sicherungsmassnahmen, Sorgfaltspflichten, Schulung, Meldewege. CIVAC ist eine Compliance-Plattform und Officer-as-a-Service und stellt Vorlagen, Bestellurkunde und Meldepfad in einem Workspace mit EU-Datenresidenz bereit.
Auf einen Blick
- Das GwG verlangt ein risikobasiertes Präventionsprogramm mit dokumentierter Risikoanalyse, internen Sicherungsmassnahmen und benannter Verantwortung.
- Die Einführung in 90 Tagen ist realistisch, wenn Vorlagen, Risikomatrix und Meldepfad vorbereitet sind und ein Verantwortlicher klar benannt wurde.
- Bussgelder bis 5 Mio. Euro oder 10 Prozent Konzernumsatz nach § 56 GwG machen Geldwäscheprävention zur Vorstandspflicht, nicht zur Stabsaufgabe.
Verpflichteter nach § 2 GwG: Bin ich betroffen?
Der Verpflichtetenkatalog des § 2 GwG umfasst nicht nur Banken und Versicherer. Auch Immobilienmakler, Güterhändler ab 10.000 Euro Bartransaktion, Kunst- und Edelmetallhändler, Steuerberater, Rechtsanwälte, Notare, Treuhänder, Veranstalter und Vermittler von Glücksspielen sowie Finanzunternehmen sind erfasst. Die FIU-Statistik 2024 weist über 320.000 Verdachtsmeldungen aus, eine Steigerung von 27 Prozent gegenüber 2023.
Die Prüfung der Verpflichteten-Eigenschaft ist der erste Schritt jedes Programms. Sie folgt entlang dreier Achsen: Geschäftsmodell (welche Tätigkeit nach § 2 Abs. 1 GwG), Schwellenwerte (Bartransaktionen, Vermittlungswert, Provisionsvolumen) und Konzernstruktur (Tochtergesellschaften und Auslandsbezug). Das Ergebnis wird in einer Verpflichteten-Erklärung dokumentiert und jährlich überprüft.
Sektorale Aufsichten konkretisieren die Pflichten. BaFin für Finanzunternehmen, Bundesanstalt für Finanzdienstleistungsaufsicht für Zahlungsdienste, Landesaufsichtsbehörden für Güterhändler und Immobilienmakler, Kammern für Berufsträger. Die zuständige Aufsicht entscheidet, ob ein Geldwäschebeauftragter bestellt werden muss, ob das Programm einer Vor-Ort-Prüfung unterliegt und welche Berichte einzureichen sind.
Die Identifikation der zuständigen Aufsicht ist nicht trivial. Mehrfachzuständigkeiten kommen vor, etwa bei Finanzholdings mit Immobilienportfolio. Eine schriftliche Anfrage an die mutmasslich zuständige Behörde mit Beschreibung des Geschäftsmodells ist üblich und schafft Rechtssicherheit.
Wer den Status als Verpflichteter ohne Dokumentation annimmt oder verneint, geht ein vermeidbares Risiko ein. Bestellurkunde, unterschrieben, abgelegt, belegbar. Das gilt auch für die Statusfrage selbst.
Risikoanalyse nach § 5 GwG: Das Fundament
Die Risikoanalyse ist nach § 5 GwG verpflichtend und mindestens jährlich zu aktualisieren. Sie bewertet Risiken entlang von Kunden, Produkten, Transaktionen, Vertriebskanaelen und Laendern. Die FIU-Risikoanalyse 2024 sowie die Supranational Risk Assessment der EU-Kommission sind als Referenzwerke heranzuziehen und in der eigenen Analyse zu zitieren.
Die Kundenrisiko-Achse unterscheidet politisch exponierte Personen (PEP), Hochrisikolaender nach Anlage I der EU-Verordnung, Treuhandkonstruktionen, Bargeldintensive Branchen und natuerliche Personen ohne dokumentierte Geschäftshistorie. Jede Kategorie erhaelt eine Risikoeinstufung niedrig, mittel, hoch, die in der Software-Konfiguration des Onboardings hinterlegt wird.
Die Produktrisiko-Achse bewertet, welche Produkte für Geldwaesche missbraucht werden koennen. Krypto-Dienstleistungen, anonyme Vorausbezahlte Karten, Cross-Border-Zahlungen, Trade Finance und hochwertige Immobilien gelten als erhoehte Risiken. Die Risikoeinstufung pro Produkt wird im Produktkatalog dokumentiert und mit Sorgfaltspflichten verknuepft.
Die Transaktions- und Vertriebskanal-Achse bewertet Auffaelligkeiten: Bargeldhaeufigkeit, Schwellenstrukturen knapp unter Meldegrenzen, Drittpartei-Zahlungen, Vertrieb ohne persoenlichen Kontakt. Die Risikoindikatoren werden in einem Monitoring-Regelwerk operationalisiert, das mindestens täglich Transaktionen pruegt.
Die Laenderrisiko-Achse stuetzt sich auf die FATF-Listen, die EU-Hochrisikoliste und Sanktionsregister. Geschäftsbeziehungen in Hochrisikolaender erfordern verstaerkte Sorgfaltspflichten nach § 15 GwG. Andere führen Compliance wie einen Aktenschrank. Wir führen sie wie Software, und das gilt für die Risikoanalyse besonders.
Interne Sicherungsmassnahmen nach § 6 GwG
§ 6 GwG verlangt interne Sicherungsmassnahmen, die der Risikoanalyse entsprechen. Dazu gehoeren Grundsaetze und Verfahren, Schulung der Beschaeftigten, Zuverlaessigkeitsprueffung der Mitarbeiter, Bestellung eines Geldwaeschebeauftragten ab definierten Schwellen sowie ein Hinweisgebersystem für GwG-Verstoesse.
Die Grundsaetze und Verfahren werden in einer GwG-Richtlinie dokumentiert. Die Richtlinie regelt Onboarding, Sorgfaltspflichten, verstaerkte Sorgfaltspflichten, Aufzeichnung, Aufbewahrung, Verdachtsmeldung und Sanktionsabgleich. Sie wird vom Vorstand freigegeben und allen Beschaeftigten zugaenglich gemacht.
Die Schulungspflicht ist umfassend. Jeder Beschaeftigte mit Kundenkontakt oder Zahlungsverkehr muss mindestens jaehrlich geschult werden. Die Schulung deckt Risikoindikatoren, Sorgfaltspflichten, Meldewege, Sanktionen und konkrete Fallbeispiele ab. Die Schulungsteilnahme ist dokumentiert nachzuweisen.
Die Zuverlaessigkeitsprueffung erstreckt sich auf Personal in sensiblen Funktionen: Geldwaeschebeauftragter, Stellvertreter, Onboarding, Zahlungsverkehr, Sanktionsabgleich. Führungszeugnis, Selbstauskunft, Konfliktcheck. Die Prüffung wird bei Einstellung dokumentiert und in regelmäßigen Abstaenden wiederholt.
Die Bestellung des Geldwaeschebeauftragten ist nach § 7 GwG für alle Verpflichteten Pflicht, deren Geschäftsleitung eine Bestellung anordnet, sowie verpflichtend für Kredit- und Finanzinstitute, Versicherer, Glueckspielunternehmen und weitere benannte Gruppen. Lizenzieren Sie den Workspace für Ihre internen Beauftragten, oder lassen Sie unsere Beauftragten bestellen.
Sorgfaltspflichten: Onboarding, KYC, PEP-Screening
Die allgemeinen Sorgfaltspflichten nach § 10 GwG verlangen Identifizierung des Vertragspartners, Identifizierung wirtschaftlich Berechtigter, Bewertung von Zweck und Art der Geschäftsbeziehung sowie laufende Überwachung. Die Identifikation erfolgt anhand amtlicher Ausweispapiere und ist nach § 8 GwG für mindestens fuenf Jahre aufzubewahren.
Die Identifikation wirtschaftlich Berechtigter folgt der Schwelle von 25 Prozent der Kapital- oder Stimmrechte. Bei mittelbarer Beteiligung wird durchgerechnet. Das Transparenzregister nach § 18 GwG ist abzufragen, eine Eintragungspflicht traf seit 2026-08 alle juristischen Personen unabhängig von Mitteilungsfiktionen. Abweichungen zwischen Register und tatsaechlicher Lage sind nach § 23a GwG zu melden.
PEP-Screening ist nach § 15 Abs. 1 Nr. 1 GwG bei politisch exponierten Personen, Familienangehoerigen und nahestehenden Personen Pflicht. Verstaerkte Sorgfaltspflichten umfassen Zustimmung der Geschäftsleitung, Herkunftsklaerung der Mittel und engmaschiges Monitoring. Das PEP-Screening wird über kommerzielle Listen (Dow Jones, World-Check, LexisNexis) operationalisiert.
Sanktionslisten sind unabhängig vom GwG zu beachten, ergaenzen aber das Onboarding. EU-Sanktionsverordnungen, US-OFAC-Listen, UN-Listen und nationale Erweiterungen werden täglich aktualisiert. Ein Treffer triggert sofortiges Einfrieren von Vermoegen und Meldung an die zuständige Behoerde, für Deutschland die Deutsche Bundesbank.
Die laufende Überwachung ist mehr als eine jaehrliche Prüfung. Auffaellige Transaktionen, Änderungen der Eigentümerstruktur, Branchenwechsel und Mediennennungen sind Ausloeser für eine Aktualisierung der Risikoeinstufung. Der Prüfer ruft an, der Nachweis liegt bereit.
Verdachtsmeldung an die FIU: Pflicht und Fristen
§ 43 GwG verpflichtet zur unverzueglichen Meldung an die Financial Intelligence Unit (FIU), sobald Tatsachen vorliegen, die auf Geldwaesche, Terrorismusfinanzierung oder eine Vortat hinweisen. Die Meldung erfolgt elektronisch über das goAML-Portal der FIU. Frist laeuft ab Kenntnis, eine konkrete Stundenzahl nennt das Gesetz nicht, die Praxis verlangt Stunden, nicht Tage.
Die Meldepflicht trifft den Verpflichteten als Unternehmen, faktisch wird sie vom Geldwaeschebeauftragten ausgefuehrt. Die Geschäftsleitung ist nachrichtlich zu informieren, hat aber keine Genehmigungsrolle. Eine Verzögerung der Meldung aus geschäftspolitischen Gruenden ist nach § 56 GwG bussgeldbewehrt.
Das Tipping-off-Verbot nach § 47 GwG verbietet, den Gemeldeten oder Dritte über die Meldung zu informieren. Bei einem Auskunftsersuchen des Kunden ist neutral zu antworten, ohne die Meldung zu bestätigen oder zu verneinen. Verstoesse gegen das Tipping-off-Verbot sind Straftatbestand nach § 261 StGB.
Die FIU bestätigt den Eingang und kann Folgemassnahmen anordnen, etwa eine Transaktionssperre. Ohne ausdrueckliche Freigabe darf die Transaktion nach § 46 GwG bis zu drei Werktage angehalten werden. Die operative Umsetzung verlangt klare Kommunikationswege zwischen Geldwaeschebeauftragtem, Zahlungsverkehr und Kundenbetreuung.
Die Meldung ist nach § 8 GwG für mindestens fuenf Jahre aufzubewahren, in einigen Faellen zehn Jahre. Eine Trennung von Kundenakte und Meldungsakte ist Pflicht. Der CIVAC-Workspace bildet diese Trennung mit getrennten Zugriffsrollen und EU-Datenresidenz ab.
Geldwaeschebeauftragter: Bestellung, Stellung, Haftung
Der Geldwaeschebeauftragte wird nach § 7 GwG schriftlich bestellt. Die Bestellung erfolgt durch die Geschäftsleitung, ist der zuständigen Aufsichtsbehoerde anzuzeigen und für Kredit- und Finanzinstitute zur BaFin zu melden. Die Bestellurkunde regelt Aufgaben, Weisungsfreiheit, Berichtsweg und Ressourcen. Audit-fest, dokumentiert, § 7-fest.
Die Stellung des Geldwaeschebeauftragten ist gesetzlich besonders geschuetzt. Weisungsfreiheit in fachlichen Fragen, direkte Berichtslinie zur Geschäftsleitung, Abberufungsschutz und Kuendigungsschutz nach § 7 Abs. 7 GwG. Die Position kann intern oder extern besetzt werden, in beiden Faellen sind Erreichbarkeit und Ressourcen sicherzustellen.
Die Aufgaben umfassen die Erstellung und Aktualisierung der Risikoanalyse, die Ausarbeitung interner Grundsaetze, Schulungen, Untersuchung von Auffaelligkeiten, Verdachtsmeldung an die FIU und Bericht an die Geschäftsleitung. Quartalsberichte mit Kennzahlen sind faktischer Standard, von den Aufsichten teilweise zwingend vorgeschrieben.
Die Haftung ist vielschichtig. Bussgelder treffen primaer das Unternehmen, persoenliche Bussgelder gegen den Geldwaeschebeauftragten kommen bei grober Pflichtverletzung in Betracht. Zivilrechtliche Haftung gegenueber dem Arbeitgeber bei Verletzung der Sorgfaltspflichten, strafrechtliche Haftung bei vorsaetzlicher Mitwirkung an Geldwaesche.
Externe Geldwaeschebeauftragte sind insbesondere für Mittelstaendler praktikabel, die keine eigene Vollzeitstelle rechtfertigen. CIVAC bestellt externe Officer mit dokumentierter Qualifikation, Vertretung, Erreichbarkeit und Meldeinfrastruktur. Lizenzieren Sie den Workspace für Ihre internen Beauftragten, oder lassen Sie unsere Beauftragten bestellen.
90-Tage-Plan: Von Verpflichtetenstatus zu operativer Praevention
Die Einführung eines GwG-Programms in 90 Tagen ist mit klarer Struktur und vorbereiteten Vorlagen realistisch. Tag 1 bis 15: Verpflichtetenstatus prüfen, zuständige Aufsicht klaeren, Risikoanalyse-Entwurf erstellen, Geldwaeschebeauftragten benennen, Bestellurkunde unterschreiben. Bestellurkunde, unterschrieben, abgelegt, belegbar.
Tag 16 bis 45: Risikoanalyse finalisieren, GwG-Richtlinie verabschieden, Onboarding-Prozesse mit KYC- und PEP-Screening anpassen, Sanktionslistenabgleich operativ aktivieren. In dieser Phase wird auch der Workspace mit Aufgabenkatalog, Berichtsvorlagen und Meldeworkflows konfiguriert.
Tag 46 bis 70: Schulungsprogramm ausrollen, Zuverlaessigkeitsprueffung der sensiblen Funktionen abschliessen, Hinweisgebersystem für GwG-Verstoesse anbinden, erste Monitoring-Regeln scharf schalten. Parallel werden bestehende Kundenbestaende risikoorientiert remediiert.
Tag 71 bis 90: Erste Quartalsberichte erstellen, Auswertung der Monitoring-Treffer, Anpassung der Risikoindikatoren, Anzeige der Bestellung bei der Aufsicht, Dokumentation des Programms in einem auditfaehigen Datenraum. Am Ende von Tag 90 liegt ein vollstaendiges Programm vor, das einer Vor-Ort-Prüfung standhaelt.
Mit dem CIVAC-Workspace und der CIVAC-SLA von 2 Werktagen statt 2 bis 6 Wochen klassisch ist dieser Plan stress-getestet. 490 Audit-Vorlagen, 25 Beauftragten-Rollen und 93 Controls nach ISO/IEC 27001:2022 bilden die Grundlage. Der Prüfer ruft an, der Nachweis liegt bereit.
Typische Prüfungsfeststellungen und wie man sie vermeidet
Die Aufsichtsbehoerden veroeffentlichen jaehrlich Prüfungsergebnisse. Die haeufigsten Feststellungen sind seit Jahren stabil. Erstens: Risikoanalyse veraltet oder fehlend. Eine jaehrliche Aktualisierung mit dokumentiertem Prüfdatum und Versionsverlauf entkraeftet diesen Befund.
Zweitens: Identifikation wirtschaftlich Berechtigter unvollstaendig. Die Durchrechnung mittelbarer Beteiligungen wird oft an der Prüfungsgrenze abgebrochen. Eine konsequente Erfassung bis zur natuerlichen Person, unter Abgleich mit dem Transparenzregister, ist Pflicht.
Drittens: Schulungsnachweise fehlen oder sind unvollstaendig. Eine zentrale Schulungsplattform mit Teilnehmerlisten, Datum, Inhalten und Erfolgskontrolle ist Mindeststandard. Die CIVAC-Plattform bindet Schulungsnachweise an den Beauftragten-Workspace und macht Quoten in Echtzeit sichtbar.
Viertens: Monitoring zu eng definiert, viele False Positives, wenig substanzielle Treffer. Eine kalibrierte Regelmatrix mit Risikoeinstufung und Schwellenwerten ist effektiver als breite Bargeld-Trigger. Die Monitoring-Regeln sind dokumentiert und mindestens jaehrlich zu validieren.
Fuenftens: Verdachtsmeldungen verzögert oder gar nicht erstattet. Die Prüfer untersuchen Stichproben aus Transaktionsdaten und gleichen sie mit FIU-Meldungen ab. Eine fehlende Meldung bei objektiv vorliegendem Verdacht ist regelmäßig der teuerste Befund einer GwG-Prüfung.
Sechstens: Tipping-off durch unsensiblen Kundendialog. Schulung und Standardantworten für Kundenanfragen sind kritisch. Andere führen Compliance wie einen Aktenschrank. Wir führen sie wie Software, einschliesslich Antwort-Templates für den Kundendialog nach Verdachtsmeldung.
GwG-Programm mit CIVAC einführen
Die Einführung eines GwG-Compliance-Programms ist ein klar strukturiertes Projekt mit messbaren Ergebnissen. CIVAC ist eine Compliance-Plattform und Officer-as-a-Service. Der Workspace stellt 490 Audit-Vorlagen, eine GwG-Risikomatrix, Bestellurkunde für den Geldwaeschebeauftragten, Berichtsvorlagen und einen Meldepfad zur FIU in einer auditierbaren Umgebung mit EU-Datenresidenz bereit.
Lizenzieren Sie den Workspace für Ihre internen Beauftragten, oder lassen Sie unsere Beauftragten bestellen. Beide Modelle erfuellen die Anforderungen des § 7 GwG. Der Unterschied liegt in Aufwand und Geschwindigkeit: Interne Bestellung verlangt Personalauswahl, Zuverlaessigkeitsprueffung und Aufbau der Erstdokumentation. Externe Bestellung ist innerhalb von 2 Werktagen produktiv.
Der typische Einstieg ist eine Standortbestimmung. Wir pruegen den Verpflichtetenstatus, klaeren die zuständige Aufsicht und sichten vorhandene Dokumentation. Auf dieser Basis entsteht ein 90-Tage-Plan mit klaren Meilensteinen und Verantwortlichkeiten.
Wer bereits ein GwG-Programm betreibt, kann den Workspace als Ergaenzung nutzen. Die Geldwaeschebeauftragten-Rolle wird auf die bestehende Organisation gemappt, Luecken werden sichtbar gemacht, Vorlagen werden übernommen. Eine vollstaendige Migration ist nicht zwingend, eine schrittweise Konsolidierung in der Regel pragmatischer.
Aus dem Lesen einen Auftrag machen. Schreiben Sie an info@civac.de oder buchen Sie ein Standortgespraech über das Kontaktformular auf civac.de. Wir bestätigen innerhalb von 2 Werktagen mit einem Vorschlag, der zu Ihrer Risikolage und Verpflichteten-Eigenschaft passt.
FAQ
Welche Unternehmen sind nach GwG verpflichtet?
Der Verpflichtetenkatalog des § 2 GwG umfasst Banken, Versicherer, Finanzdienstleister, Immobilienmakler, Gueterhaendler ab 10.000 Euro Bartransaktion, Kunst- und Edelmetallhaendler, Steuerberater, Rechtsanwaelte, Notare, Treuhaender und Veranstalter von Gluecksspielen. Die Prüffung erfolgt anhand des Geschäftsmodells und definierter Schwellenwerte.
Ab wann muss ein Geldwaeschebeauftragter bestellt werden?
Fuer Kredit- und Finanzinstitute, Versicherer, Glueckspielunternehmen und weitere benannte Gruppen ist die Bestellung nach § 7 GwG zwingend. Andere Verpflichtete bestellen, wenn die Aufsichtsbehoerde es anordnet oder die Geschäftsleitung sich dafuer entscheidet. Die Bestellung ist der Aufsicht anzuzeigen.
Wie lange dauert die Einführung eines GwG-Programms?
Mit vorbereiteten Vorlagen und einem klaren Plan ist die Einführung in 90 Tagen realistisch. Risikoanalyse, Richtlinie und Bestellung lassen sich in 30 Tagen abschliessen, die Operationalisierung von KYC, PEP-Screening und Monitoring benötigt weitere 60 Tage. Schulung und Reifegrad entwickeln sich darueber hinaus.
Welche Bussgelder drohen bei GwG-Verstoessen?
§ 56 GwG sieht Bussgelder bis 1 Mio. Euro für einfache Verstoesse vor, bei schwerwiegenden oder wiederholten Verstoessen bis 5 Mio. Euro oder 10 Prozent des Konzernumsatzes. Hinzu kommen sektorale Sanktionen, persoenliche Haftung der Leitungsorgane und Reputationsrisiken.
Was ist eine Verdachtsmeldung und wann muss sie erfolgen?
Eine Verdachtsmeldung an die FIU ist nach § 43 GwG unverzueglich abzugeben, sobald Tatsachen auf Geldwaesche, Terrorismusfinanzierung oder eine Vortat hinweisen. Die Meldung erfolgt elektronisch über goAML. Das Tipping-off-Verbot nach § 47 GwG verbietet, den Gemeldeten zu informieren.
Kann der Geldwaeschebeauftragte extern bestellt werden?
Ja. Eine externe Bestellung ist nach § 7 GwG zulässig und insbesondere im Mittelstand verbreitet. Erreichbarkeit, Vertretung, Ressourcen und Berichtsweg muessen sichergestellt sein. CIVAC bestellt externe Geldwaeschebeauftragte mit dokumentierter Qualifikation, Workspace-Anbindung und Meldeinfrastruktur.
Klingt nach viel Arbeit?
Beauftragten-Pflichten, Fristen, Nachweise — genau das nehmen wir dir ab. Sag kurz Hallo, wir zeigen dir wie.
Aus dem Beitrag ein Mandat machen.
Wir übernehmen die operative Last: externer Beauftragter, Vorlagen und Dokumentation in einem Workspace. Unverbindlich.